如何在Light OAuth2中无需旧密码实现用户密码重置

你目前看到的要求传旧密码的改密接口，是给已登录用户自主修改密码用的，和忘记密码场景是两套独立逻辑，Light OAuth2本身已经内置了完整的忘记密码流程，不需要从零开发，按下面步骤配置启用即可：

1. 开启内置忘记密码配置 #

找到Light OAuth2授权服务的配置文件（通常是服务目录下的config.yml或者部署用的values.yml），调整以下配置项：

• 将enableForgotPassword参数值设为true，打开忘记密码功能开关
• 配置SMTP邮件服务参数：包括SMTP服务器地址、端口、发件人邮箱账号、发件人授权码、重置链接有效时长（推荐设置15-30分钟）、前端重置页面的访问地址

注意：该流程生成的一次性重置令牌默认存储在Redis中，要确保授权服务能正常连接Redis实例，否则令牌无法持久化会导致重置链接直接失效。

2. 直接调用内置的两个重置相关接口 #

框架已经封装好了完整的校验逻辑，不需要自己实现令牌生成、校验、密码更新的逻辑，直接调用对应接口即可：

• 触发重置邮件接口：用户在忘记密码页输入绑定邮箱后，调用POST /oauth2/password/forgot接口，请求体仅需传入用户邮箱，调用示例：

curl -k -H "Content-Type: application/json" -X POST -d '{"email":"user@yourdomain.com"}' https://你的OAuth2服务域名:6885/oauth2/password/forgot

这个接口不管传入的邮箱是否在系统中存在，都会返回操作成功，避免被恶意枚举用户账号。接口内部会自动生成带过期时间的一次性重置令牌，拼接到你提前配置的前端重置页地址后，自动发送重置邮件到对应邮箱。

• 提交新密码接口：用户点击邮件中的链接跳转到前端重置密码页后，前端从URL参数中拿到resetToken字段，引导用户输入新密码和确认密码，调用POST /oauth2/password/reset接口完成重置，不需要传入旧密码，调用示例：

curl -k -H "Content-Type: application/json" -X POST -d '{"token":"URL中解析到的重置令牌","newPassword":"用户输入的新密码","newPasswordConfirm":"用户二次确认的新密码"}' https://你的OAuth2服务域名:6885/oauth2/password/reset

接口会自动完成令牌有效性校验、过期校验、两次密码一致性校验，校验通过后直接更新对应用户的密码，令牌使用后会立即销毁，无法重复使用。

注意事项 #

• 你之前在文档里看到的需要传入旧密码的POST /oauth2/password/{username}接口，是已登录用户的自主改密接口，本身就不适用于忘记密码场景，不要用这个接口做重置逻辑。
• /oauth2/password/forgot和/oauth2/password/reset两个接口默认支持匿名访问，不要在网关或者服务侧给这两个接口加登录鉴权拦截，否则未登录用户无法触发重置流程。
• 如果需要自定义重置邮件的文案、样式，直接替换服务resources/templates目录下的忘记密码邮件模板文件即可，不需要修改接口核心逻辑。

内容的提问来源于stack exchange，提问作者tomasantunes